Como o CTI deteta ataques antes de chegarem ao SOC em destaque no IT Security Watch

O 17.º episódio do IT Security Watch, o podcast da IT Security, analisa um caso real: a Logicalis detetou e neutralizou uma campanha de usurpação da sua própria marca associada a uma iniciativa fraudulenta de criptomoedas. O convidado é Edgar Coutinho, SOC Manager da Logicalis Portugal, que descreve como o Cyber Threat Intelligence (CTI) permitiu identificar a ameaça antes de qualquer impacto nos sistemas internos da empresa.

O ponto de partida foi a deteção de uma keyword no HTML de um site externo, um sinal aparentemente residual que o serviço de CTI da Logicalis captou por monitorizar ativamente a sua própria marca. Edgar Coutinho explica a lógica subjacente e indica que “o objetivo de Cyber Threat Intelligence é tentar colocarmo-nos na pele do atacante”. Enquanto o SOC tradicional reage quando o colaborador carrega numa ligação maliciosa, o CTI posiciona-se antes e monitoriza o registo de domínios suspeitos, a ativados de registos MX e a presença de keywords em fóruns da dark web, antecipando o ataque em vez de o detetar após o facto.

O SOC Manager aborda diretamente o risco de imagem que qualquer empresa de cibersegurança enfrenta: ser atacada contradiz a narrativa do “intocável que protege tudo e todos”. Edgar Coutinho rejeita essa lógica e inverte-a: as empresas de segurança são alvos preferenciais precisamente por essa reputação. A vulnerabilidade não é uma falha de competência, mas sim uma condição estrutural do setor. O que diferencia é a capacidade de detetar e conter.

O takedown foi concluído em menos de 24 horas, mas Edgar Coutinho recusa romantizar o processo. A rapidez dependeu de o site estar alojado numa jurisdição cooperante e explica que, quando os servidores estão no Médio Oriente, na Índia ou na Rússia, a realidade é outra: “pura e simplesmente nem sequer há resposta”. A solução passa por construir relações com parceiros locais antes de precisar deles, um trabalho essencialmente diplomático.

Para os CISO que querem avaliar a exposição da sua organização sem contratar um serviço de CTI, Edgar Coutinho aponta ferramentas acessíveis, mas avisa para a armadilha da proliferação de plataformas: um indicador de risco pode surgir apenas numa de três ferramentas em uso simultâneo. A diferença entre produto e serviço está aqui, não na recolha de dados, mas na triagem. “Receber um milhão de credenciais no Excel e agora é problema do CISO, ou ter uma equipa que faz essa triagem e só abre um incidente com aquilo que importa”.

O episódio encerra com uma aprendizagem que transcende o caso específico. O CTI confirmou o seu valor internamente na Logicalis, não por ter alterado processos, mas por os ter validado. Edgar Coutinho compara um serviço de cyber intelligence a um seguro automóvel completo: durante anos pode não ser acionado e a questão da justificação do custo mantém-se. “No dia em que bato com o carro, se calhar vou agradecer”, diz. A ameaça nunca identificada, como a utilização de uma marca reputada para dar credibilidade a uma fraude de criptomoedas, é, por si só, argumento suficiente.

Todos os episódios do podcast e videocast estão disponíveis no site da IT Security, no YouTube e, também, no Spotify.